feat: harden local shell, SFTP, and desktop session reliability

Finder-launched terminals now inherit a login PATH so tools like ollama resolve, destructive SFTP/editor actions require confirmation, and terminal search plus window dragging work again. SSH forwards and RDP sessions keep listeners and survive reconnect without FastPath crashes.

Co-authored-by: Cursor <cursoragent@cursor.com>

docs/release.md

@@ -4,19 +4,19 @@
 
 ```bash
 # 推荐：当前平台完整门禁、打包、验证和 SHA-256
-./build.sh
+./scripts/build.sh
 
 # macOS Apple Silicon 指定版本
-./build.sh v2.1.1 mac-arm64
+./scripts/build.sh v2.1.1 mac-arm64
 
 # Windows x86_64（推荐在 Windows CMD/PowerShell 中执行）
-build.bat v2.1.1 win-x64
+scripts\build.bat v2.1.1 win-x64
 
 # 本地重复构建时缩短门禁；正式发布不要跳过
-./build.sh v2.1.1 mac-arm64 --quick
+./scripts/build.sh v2.1.1 mac-arm64 --quick
 ```
 
-`build.sh` 与 `build.bat` 面向 v2.1.x，会检查 Node、npm、Rust target 和五处版本元数据。显式传入不同于当前源码的新版本时，脚本会同步版本文件；它们只负责构建，不会自动创建 tag 或推送远程仓库。安装包和 `SHA256SUMS.txt` 输出到：
+`scripts/build.sh` 与 `scripts/build.bat` 面向 v2.1.x，会检查 Node、npm、Rust target 和五处版本元数据。显式传入不同于当前源码的新版本时，脚本会同步版本文件；它们只负责构建，不会自动创建 tag 或推送远程仓库。安装包和 `SHA256SUMS.txt` 输出到：
 
 ```text
 release/v2.1.1/macos-arm64/
@@ -41,7 +41,7 @@ release/v2.1.1/windows-x64/
 rustup default stable-x86_64-pc-windows-msvc
 rustup target add x86_64-pc-windows-msvc
 npm ci
-build.bat v2.1.1 win-x64
+scripts\build.bat v2.1.1 win-x64
 ```
 
 默认执行完整门禁；`--quick` 适合开发期重复构建，正式发布不要使用 `--skip-checks`。输出位于 `release\v2.1.1\windows-x64\`。没有代码签名证书时可以生成开发安装包，但 Windows SmartScreen 可能提示未知发布者。
@@ -52,10 +52,10 @@ build.bat v2.1.1 win-x64
 
 ```bash
 # 只检查附件，不访问 Gitee API
-./release.py v2.1.1 --dry-run
+./scripts/release.py v2.1.1 --dry-run
 
 # 创建或更新 Release，上传安装包和 SHA256SUMS.txt，并核验远程附件
-./release.py v2.1.1
+./scripts/release.py v2.1.1
 ```
 
 发布凭据从 `GITEE_TOKEN` 或 `~/.netrc` 的 `gitee.com` 条目读取，脚本不会输出 Token。脚本只读取 `release/v<版本>/` 下的 `.dmg`、`.exe`、`.msi` 和 `SHA256SUMS.txt`，上传成功后保留本地文件。远程已有同名同大小附件时会跳过；同名但大小不同时停止，避免静默覆盖已发布二进制。